SE向け：本番・セキュリティ・DB チェックリスト

5月頭の面談前に埋めやすい表です。「状況」「メモ」列を運用で更新してください。

1. 環境・シークレット

項目	確認内容	状況
Production / Preview	Vercel プロジェクト、どちらが本番URLか、プレビューURLの共有範囲
`GEMINI_API_KEY`	本番環境変数のみ。クライアントbundleに含めない
`GEMINI_PAID_PLAN_CONFIRMED`	Gemini を使う場合は `true`/`1` を設定（有料プラン運用：2026-05-06 移行済／無料プラン運用は禁止）。未設定だとAPIは 503 で止まる
Supabase	`VITE_SUPABASE_URL` / `VITE_SUPABASE_ANON_KEY` には Publishable または Legacy anon のみ。Secret（`sb_secret_`）・service_role はフロントに埋め込まない
`VITE_FACE_VECTOR_SECRET`	用途とローテーション方針
画像変化検知	`SUPABASE_SERVICE_ROLE_KEY` / `SUPABASE_URL`（または `VITE_SUPABASE_URL`）が Vercel にあり、`/api/image-change-detection`・`save-detection` が動くこと。`save-staff-action` 用に `VITE_SUPABASE_ANON_KEY` もサーバーで参照できること

マイグレーション適用履歴（特に medical_referral_flag / staff_med_image_ai_logs / 同意・監査系 / image_change_detections・get_previous_image_record）
RLS 方針：家族ロールが AI ログを読めないこと、職員が監査・ログを読めること
Storage：record-photos ポリシー、バックアップ有無